關(guān)鍵數(shù)據(jù)保護(hù)與勒索攻擊矛盾突出 360專家稱亟待建立數(shù)字安全體系
近日，黑客組織LAPSUS$對芯片巨頭英偉達(dá)和科技巨頭三星接連成功實(shí)施勒索攻擊，涉及兩家公司產(chǎn)品、用戶的核心數(shù)據(jù)和敏感數(shù)據(jù)。
據(jù)悉，在這次網(wǎng)絡(luò)攻擊中，Lapsus$從英偉達(dá)獲取到的數(shù)據(jù)超過了1TB ，包括原理圖、驅(qū)動(dòng)程序和固件細(xì)節(jié)，以及71355名員工的電子郵件地址和NTLM 密碼等敏感工作數(shù)據(jù)和個(gè)人數(shù)據(jù)。
不久后，該組織又攻擊了三星，被竊取的數(shù)據(jù)包括了在三星TrustZone 環(huán)境中安裝的受信任小程序的源代碼、生物特征解鎖操作的算法、最新三星設(shè)備的引導(dǎo)加載程序源代碼、高通的機(jī)密源代碼等，數(shù)據(jù)量超過了190G。最可怕的是Lapsus$團(tuán)隊(duì)沒有要贖金、也沒有和三星進(jìn)行溝通，就直接把三星的數(shù)據(jù)放到服務(wù)器上公開讓人下載。
“在數(shù)字化時(shí)代，數(shù)據(jù)驅(qū)動(dòng)業(yè)務(wù)，越來越成為被攻擊對象，一旦數(shù)據(jù)遭到攻擊，很可能造成業(yè)務(wù)的停擺”，360集團(tuán)創(chuàng)始人周鴻祎曾如此分析勒索攻擊，他認(rèn)為小m賊、小黑客已經(jīng)成為歷史，高級別專業(yè)力量正在入場，大型企業(yè)成為網(wǎng)絡(luò)攻擊的首選目標(biāo)。此次LAPSUS$針對英偉達(dá)、三星、沃達(dá)豐、南美電子公司等實(shí)施的一系列動(dòng)作正是南美專業(yè)黑客組織對大型企業(yè)發(fā)起的、以數(shù)據(jù)為對象的網(wǎng)絡(luò)攻擊。
據(jù)報(bào)道，LAPSUS$針對英偉達(dá)的勒索最初源于該公司對其RTX 30系列產(chǎn)品施加的挖礦限制，隨后勒索團(tuán)伙的要求不斷增加。有消息稱，LAPSUS$近期曾發(fā)布匿名投票，對接下來泄露數(shù)據(jù)的公司進(jìn)行評選，公司涉及英國電信沃達(dá)豐、葡萄牙媒體集團(tuán)、南美電子商務(wù)公司。
近年來，全球勒索攻擊正呈爆發(fā)式增長。有調(diào)查報(bào)告顯示，2021年每11秒將發(fā)生一次勒索攻擊，帶來的直接經(jīng)濟(jì)損失超過300億美元，這個(gè)經(jīng)濟(jì)損失是2015年的57倍。
針對此次事件，360天樞智庫資深專家姚領(lǐng)田有三點(diǎn)分析：
一是勒索攻擊已呈現(xiàn)向多元化訴求發(fā)展的趨勢。勒索訴求可能不再局限于贖金，如企業(yè)決策影響、政府政策影響，甚至政治訴求等。正如此次LAPSUS$針對英偉達(dá)的勒索攻擊，訴求在于解除對其產(chǎn)品施加的挖礦限制而并非贖金要求，此次的俄烏沖突也帶出來各種網(wǎng)絡(luò)攻擊。這些事例無不說明社會(huì)物理空間的勒索犯罪正在向網(wǎng)絡(luò)虛擬空間的勒索攻擊投射。
二是對知識(shí)產(chǎn)權(quán)、核心數(shù)據(jù)、機(jī)密數(shù)據(jù)等關(guān)鍵數(shù)據(jù)的保護(hù)與勒索攻擊頻發(fā)的矛盾愈加突出。有公開信息表明，在此次三星遭遇勒索攻擊事件中，三星和高通的核心數(shù)據(jù)受到威脅，而雙方曾簽署多項(xiàng)協(xié)議，內(nèi)容涉及各種技術(shù)領(lǐng)域和一系列移動(dòng)設(shè)備。可見，數(shù)據(jù)安全關(guān)系組織運(yùn)營乃至生存，合規(guī)解決不了安全問題，基于數(shù)字安全理念的綜合防御、體系防御、整體防御是應(yīng)對安全問題的解決之道。
三是三重勒索攻擊將數(shù)據(jù)安全問題引入供應(yīng)鏈安全。盡管LAPSUS$尚未表明對三星實(shí)施勒索攻擊的意圖，但針對三星的勒索事實(shí)上已經(jīng)將高通卷入三重勒索范圍，有理由預(yù)計(jì)，未來高通也大概率將在此事件中被LAPSUS$呼叫，關(guān)鍵看三星下一步的應(yīng)對之道。
此次三重勒索的出現(xiàn)，正是因?yàn)槠髽I(yè)供應(yīng)鏈環(huán)節(jié)復(fù)雜、暴露面多，任何一環(huán)節(jié)被攻擊者利用便會(huì)引發(fā)雪崩效應(yīng)，造成不可估量的影響。近年來，網(wǎng)絡(luò)攻擊者通過入侵軟硬件產(chǎn)品的供應(yīng)商，實(shí)現(xiàn)對政企應(yīng)用場景的連鎖突破，已經(jīng)成為常態(tài)化攻擊方式。因此，360高級威脅研究院也提示，未來的攻擊可能來自于任何“短板”。
針對當(dāng)前的數(shù)據(jù)安全痛點(diǎn)，360安全專家提出了四點(diǎn)建議：
一是建立數(shù)據(jù)安全治理體系，委派高管牽頭負(fù)責(zé)數(shù)據(jù)安全治理工作，根據(jù)《數(shù)據(jù)安全法》等法規(guī)的監(jiān)管要求開展自身數(shù)據(jù)分類分級工作，對企業(yè)數(shù)據(jù)實(shí)施分類分級管理，分類分級結(jié)果與數(shù)據(jù)存儲(chǔ)、權(quán)限、脫敏、開發(fā)等措施掛鉤，實(shí)現(xiàn)體系管理；
二是建立以數(shù)據(jù)為中心、覆蓋全生命周期的數(shù)據(jù)安全防護(hù)體系。在數(shù)據(jù)全生命周期的各個(gè)階段部署關(guān)鍵的安全保護(hù)措施，確保各個(gè)環(huán)節(jié)的數(shù)據(jù)可管可控；
三是定期開展風(fēng)險(xiǎn)評估和數(shù)據(jù)安全成熟度評估，并通過實(shí)網(wǎng)攻防以及安全應(yīng)急響應(yīng)演練，及時(shí)改進(jìn)公司中存在的風(fēng)險(xiǎn)，一旦發(fā)生安全事件后能及時(shí)響應(yīng)，并做出最合適的反應(yīng)措施，從而把損失降低到最小；
四是建立健全全流程數(shù)據(jù)安全管理制度，組織開展數(shù)據(jù)安全教育培訓(xùn)，增強(qiáng)員工數(shù)據(jù)安全意識(shí)，提高企業(yè)自身數(shù)據(jù)安全能力。
同時(shí)，360作為全球最大的數(shù)字安全公司，已于2021年即推出了行業(yè)首個(gè)大數(shù)據(jù)安全能力框架，由基于數(shù)據(jù)安全大腦的數(shù)據(jù)安全治理、數(shù)據(jù)攻擊面防護(hù)、數(shù)據(jù)訪問控制、數(shù)據(jù)專家運(yùn)營四部分組成，通過這套數(shù)據(jù)安全方案，企業(yè)可實(shí)現(xiàn)數(shù)據(jù)基礎(chǔ)設(shè)施安全防護(hù)、數(shù)據(jù)資產(chǎn)及數(shù)據(jù)活動(dòng)的透明、可信、安全、可控。
轉(zhuǎn)載請?jiān)谖恼麻_頭和結(jié)尾顯眼處標(biāo)注：作者、出處和鏈接。不按規(guī)范轉(zhuǎn)載侵權(quán)必究。
未經(jīng)授權(quán)嚴(yán)禁轉(zhuǎn)載，授權(quán)事宜請聯(lián)系作者本人，侵權(quán)必究。
本文禁止轉(zhuǎn)載，侵權(quán)必究。
授權(quán)事宜請至數(shù)英微信公眾號(ID: digitaling) 后臺(tái)授權(quán)，侵權(quán)必究。
評論
評論
推薦評論
暫無評論哦，快來評論一下吧！
全部評論（0條）